حماية موقعك ومتجرك من الاختراق والاحتيال: أساسيات لصاحب العمل
أغلب اختراقات المواقع والمتاجر الصغيرة لا تأتي من هجمات معقدة، بل من كلمة مرور مسروقة، أو إضافة لم تُحدَّث، أو موظف نقر على رابط تصيّد. لذلك ترتيب الأولويات واضح: فعّل التحقق الثنائي على كل حساب، وحدّث النظام والإضافات بانتظام مع نسخ احتياطية تعرف أنها تعمل، ولا تخزّن بيانات البطاقات بنفسك، ثم راقب الطلبات المشبوهة. هذه القائمة مرتبة من الأهم إلى الأقل، ولكل تهديد ما يحميك منه.
قبل البدء: المراجع الرسمية في منطقتك
في السعودية أصدرت الهيئة الوطنية للأمن السيبراني، بالتعاون مع مجلس التجارة الإلكترونية، وثيقتين: إرشادات الأمن السيبراني لموفري خدمة التجارة الإلكترونية، وأخرى لمستهلكيها، مع أداة للتقييم الذاتي. الوثيقة الأولى موجهة صراحة لأصحاب المنشآت الصغيرة والمتوسطة والمكاتب المنزلية، وتستحق القراءة إن كان لديك متجر.
وفي الإمارات يعمل فريق الاستجابة لطوارئ الحاسب الآلي (aeCERT) منذ 2007 بحسب سجله لدى منتدى FIRST، وتستضيفه هيئة تنظيم الاتصالات. ولكل دولة جهتها؛ اعرف جهة بلدك قبل أن تحتاجها.
التهديدات مرتبة حسب الأولوية
1. الاستيلاء على الحسابات
التهديد: شخص يحصل على كلمة مرور لوحة تحكم المتجر، أو البريد الإلكتروني، أو حساب الاستضافة، أو مسجّل النطاق. من البريد وحده يستطيع إعادة تعيين كلمات مرور كل شيء آخر.
الحماية:
- فعّل التحقق بخطوتين على البريد ولوحة التحكم والاستضافة ومسجّل النطاق وحسابات التواصل.
- استخدم مدير كلمات مرور، وكلمة مختلفة لكل حساب.
- أعطِ كل موظف حسابًا خاصًا بصلاحيات محدودة بدل مشاركة حساب المدير.
- احذف حسابات الموظفين والمطورين السابقين فور انتهاء العمل.
2. التصيّد الاحتيالي
التهديد: رسالة تبدو من شركة الشحن أو بوابة الدفع أو «الدعم الفني لمنصة المتجر» تطلب تسجيل الدخول عبر رابط. هي غالبًا الطريقة التي تُسرق بها كلمات المرور في التهديد الأول.
الحماية:
- لا تسجّل الدخول من رابط في رسالة؛ افتح الموقع بنفسك من المفضلة.
- درّب فريقك على قاعدة واحدة: أي طلب عاجل لتغيير حساب بنكي أو تحويل مبلغ يُتحقق منه بمكالمة.
- التحقق الثنائي يقلل الضرر حتى لو وقع أحدهم في الفخ.
3. الإضافات والأنظمة غير المحدثة
التهديد: ثغرة معروفة في إضافة أو قالب أو نسخة قديمة من نظام إدارة المحتوى. المهاجمون يفحصون المواقع آليًا بحثًا عنها.
الحماية:
- حدّث النظام والإضافات بانتظام. دليل ووردبريس الرسمي للتحديث يبدأ بنصيحة أخذ نسخة احتياطية كاملة قبل أي تحديث، وهي نصيحة صالحة لأي نظام.
- احذف الإضافات والقوالب غير المستخدمة، لا تكتفِ بتعطيلها.
- تجنّب القوالب والإضافات «المكسورة» المنتشرة مجانًا؛ كثير منها يحمل شيفرة خبيثة.
4. فقدان البيانات دون نسخة احتياطية
التهديد: اختراق، أو خطأ بشري، أو تحديث فاشل، أو برنامج فدية، والنتيجة واحدة: لا موقع ولا طلبات.
الحماية:
- نسخ احتياطية تلقائية يومية أو أسبوعية حسب حجم التغيير، تُحفظ خارج خادم الموقع.
- جرّب الاسترجاع مرة كل بضعة أشهر. النسخة التي لم تُجرَّب ليست نسخة.
5. بيانات البطاقات
التهديد: تخزين أرقام البطاقات أو جمعها في نموذج يعني أنك أصبحت هدفًا ومسؤولًا.
الحماية:
- دع بوابة الدفع تستقبل بيانات البطاقة في صفحتها أو نموذجها المدمج، ولا تمر عبر خادمك.
- معيار أمان بيانات صناعة البطاقات (PCI DSS) يقول موقعه الرسمي إنه موجّه لكل جهة تخزّن أو تعالج أو تنقل بيانات حاملي البطاقات، أو يمكن أن تؤثر في أمنها. الاستعانة بمزوّد معتمد تقلل نطاق ما يلزمك، لكنها لا تلغيه تمامًا، فاسأل بوابتك عن الاستبيان المطلوب منك.
- لا تطلب صور البطاقات أو أرقامها عبر واتساب أو البريد، تحت أي ظرف.
6. الطلبات الاحتيالية
التهديد: طلبات ببطاقات مسروقة تنتهي باسترداد المبلغ (Chargeback) بعد شحن البضاعة، أو طلبات دفع عند الاستلام وهمية تستهلك تكلفة الشحن.
الحماية:
- راقب العلامات: عنوان شحن بعيد عن بلد البطاقة، طلبات متكررة بمبالغ كبيرة من حساب جديد، عدة بطاقات تُجرَّب على الطلب نفسه.
- فعّل أدوات مكافحة الاحتيال والتحقق ثلاثي الأبعاد (3-D Secure) المتاحة في بوابتك.
- للدفع عند الاستلام: تأكيد الطلب برسالة أو مكالمة قبل الشحن للطلبات الكبيرة أو الجديدة.
7. الاتصال غير المشفر
التهديد: نماذج ترسل بيانات العملاء دون تشفير، ومتصفحات تعرض تحذير «غير آمن».
الحماية: شهادة SSL مفعلة على كل صفحات الموقع. يمكن أن تكون مجانية؛ Let's Encrypt جهة إصدار شهادات مجانية ومؤتمتة تدعمها أغلب شركات الاستضافة.
خطة الأسبوع الأول
إن لم تفعل شيئًا مما سبق بعد، ابدأ بهذا الترتيب:
- التحقق الثنائي على البريد ولوحة التحكم ومسجّل النطاق.
- قائمة بكل من لديه صلاحية دخول، وحذف من لا يحتاجها.
- التأكد من وجود نسخة احتياطية خارج الخادم وتجربة استرجاعها.
- تحديث كل الإضافات وحذف غير المستخدم منها.
- قراءة إرشادات الجهة الوطنية في بلدك، وحفظ رقم أو رابط الإبلاغ عن الحوادث.
الأسئلة الشائعة
هل المتجر على منصة جاهزة أكثر أمانًا من موقع ووردبريس؟
المنصة الجاهزة تتولى تحديث الخوادم والنظام بدلًا منك، وهذا يزيل عبئًا كبيرًا. لكن حسابك عليها لا يزال يُسرق بكلمة مرور ضعيفة، والتطبيقات الإضافية التي تثبتها تحصل على صلاحيات على بياناتك.
ماذا أفعل إن اكتشفت أن موقعي مخترق؟
غيّر كلمات المرور من جهاز نظيف، وأبلغ مزوّد الاستضافة أو المنصة، واسترجع آخر نسخة سليمة بعد معرفة الثغرة. إن تسرّبت بيانات عملاء، استشر مختصًا قانونيًا في التزامات الإبلاغ في بلدك.
هل أحتاج شركة أمن متخصصة؟
المتجر الصغير يحتاج أولًا الأساسيات في هذه القائمة، وهي لا تتطلب شركة. الفحص المتخصص يصبح منطقيًا حين تحتفظ ببيانات حساسة أو تتعامل مع جهات تشترط تقييمًا أمنيًا.
هل يكفي برنامج حماية مثبت على الموقع؟
يساعد، لكنه لا يعوّض عن التحديث والتحقق الثنائي والنسخ الاحتياطي. أغلب الاختراقات تدخل من الباب المفتوح، لا من فوق الجدار.
إذا أردت مراجعة سريعة لما هو مكشوف في موقعك أو متجرك الآن، راسلنا بتفاصيله.